CVE-2026-56781
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w Teable przed 2026-06-15T04-43-24Z.1912 umożliwia anonimowym atakującym dostęp do ukrytych danych pól poprzez podanie dowolnych identyfikatorów pól w parametrze projekcji endpointu widoku udostępnionego. Atakujący mogą odczytać wartości pól, które powinny być niedostępne publicznie.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu poufnych danych przechowywanych w ukrytych polach, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Należy natychmiast zaktualizować Teable do wersji z poprawką (po 2026-06-15T04-43-24Z.1912) oraz ograniczyć dostęp do endpointu widoku udostępnionego dla niezaufanych użytkowników.
Inne podatności w Teable
Zobacz wszystkie- CVE-2026-112004Niskie
Teable w wersjach przed 2026-10-12T12-45-53Z.3331 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym użytkownikom na zmianę nazw folderów w innych bazach poprzez podanie obcego folderId. Punkt końcowy PATCH /api/base/:baseId/node/folder/:folderId sprawdza uprawnienie base|update tylko względem baseId z adresu URL, więc atakujący mogą zmieniać nazwy folderów w bazach, do których nie należą.
- CVE-2026-56773Wysokie
W Teable v2 brak adnotacji @Permissions w kontrolerze REST API dla punktów końcowych ORPC umożliwia każdemu uwierzytelnionemu użytkownikowi ominięcie kontroli autoryzacji. Atakujący mogą odczytywać schematy tabel, tworzyć tabele oraz modyfikować lub usuwać rekordy w różnych bazach i tabelach.
- CVE-2026-9566Średnie
W teableio teable do wersji 1.9.x w komponencie Sign-up w pliku apps/nextjs-app/src/features/auth/pages/LoginPage.tsx występuje podatność na cross site scripting (XSS) poprzez manipulację argumentem redirect. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Teable before 2026-06-15T04-43-24Z.1912 contains an improper access control vulnerability that allows anonymous attackers to access hidden field data by supplying arbitrary field IDs in the projection parameter of the share view records endpoint. Attackers can enumerate hidden field IDs from share metadata and specify them in projection parameters to read field values that are intended to be restricted from public view.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS